Ransom.Win32.DIAVOL.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のフォルダ内のファイルを暗号化します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Original Filename}.{Original Extension}.lock64 → encypted version of original file

情報漏えい

マルウェアは、以下の情報を収集します。

• For Registration:
  • OS Version
  • Local IP Address
  • Computer Name
  • Username
  • Public IP
• For Encryption Process Report:
  • total number of files
  • number of files encrypted
  • number of files wiped
  • number of files ignored

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://127.0.{BLOCKED}.{BLOCKED}/bots/register
  • information gathered for registration
• http://127.0.{BLOCKED}.{BLOCKED}/bot-stat/{Computer Name}-{Username}_W{OS Version}.{Generated ID}/vgrpnm/stat
  • information gathered for encryption process report

その他

マルウェアは、以下を実行します。

• It is a ransomware sample used for testing purposes
• It complies with the following testing configuration:
  • uses loopback address as C2 server
  • does not delete original versions of encrypted files
  • does not have the following lists by default:
    • services to be stopped
    • processes to be terminated
    • files to be ignored, to be encrypted and to be prioritized in encryption
    • files to be wiped
  • does not drop a ransom note
  • reports encryption process result to C2 server
  • only targets C:\TEST\ directory

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• C:\TEST\

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .lock64